天创培训:您身边的信息安全培训专家!
行业动态
下载量达30万次的WordPress验证插件Captcha曝安全后门

WordFence的安全专家发现,一款下载量高达30万次的WordPress插件Captcha暗藏了一个后门,允许潜在攻击者获得对WordPress网站的管理访问权限,而不需要任何身份验证。

Captcha是一款实用的验证码插件,可用于加强WordPress网站后台的登录安全,最初由插件开发公司BestWebSoft拥有及维护。

在今年9月5日,BestWebSoft公司宣布了对于Captcha所有权的转让,但在当时并未提及这个接手公司的相关信息。仅在三个月之后,Captcha的新东家就发布了4.3.7版本,其中便包含了恶意代码。

安全专家发现,恶意代码会触发一个自动更新过程。首先,会连接到simplywordpress.net域名下载一个插件更新包(ZIP文件)。然后,更新包会自动执行并安装以覆盖WordPress网站原本运行的Captcha插件。

这个ZIP文件中就包含了一个叫名为“plugin-update.php”的后门文件,它会利用用户 ID (WordPress首次安装时创建的默认管理员用户)来创建会话,设置认证 cookie,随后删除自己。由于后门安装代码并没有经过认证,这意味着任何人都可以触发它。

下载量达30万次的WordPress验证插件Captcha爆安全后门

WordFence在调查后发现,Simplywordpress.net是通过过电子邮箱地址scwellington@hotmail.co.uk注册的,注册人名为“Stacy Wellington”。通过使用反向whois查找,WordFence发现这个用户还注册了大量的其他域名。

回到Simplywordpress.net这个域名,除了Captcha之外,它还托管了另外5款插件可供下载:Covert me Popup、Death To Comments、Human Captcha、Smart Recaptcha和Social Exchange。

毫无例外,这5款插件都包含有与Captcha相同的后门安装代码。此外,如果使用“site:simplywordpress.net”在谷歌进行搜索,还会发现该域名还提供了更多的插件下载。

下载量达30万次的WordPress验证插件Captcha爆安全后门

目前,WordPress插件团队已经将其从官方WordPress插件库中删除,并为受影响的用户提供了安全版本(Captcha 4.4.5)。WordFence也创建了三条防火墙来保护用户的网站免受Captcha的影响,这些规则能够阻止Captcha执行后门安装代码以及其他5款插件通过Simplywordpress.net下载。

此外,WordFence已经与WordPress插件团队合作,对Captcha 4.4.5之前的版本进行修复。